JP2014229126A - ファイル監視周期制御装置、ファイル監視周期制御システム、ファイル監視周期制御方法及びファイル監視周期制御プログラム - Google Patents

Abstract

【課題】不正なファイルの監視周期を調整して不正なファイルの提供元に監視を検知される確率を低下させる。
【解決手段】ファイル監視周期制御システムは、不正なファイルの配置場所を特定する統一資源位置指定子を抽出し、当該統一資源位置指定子に配置されるファイルを監視する監視装置と、当該統一資源位置指定子に配置されるファイルの監視周期を制御するファイル監視周期制御装置と、を備える。ファイル監視周期制御装置は、統一資源位置指定子を含む命令のサーバへの送信を検出し、送信回数をカウントする計数部と、統一資源位置指定子により特定されるファイルの監視周期を、送信回数に応じて設定する設定部と、を備える。監視装置は、設定部が設定した監視周期に応じて統一資源位置指定子に配置されるファイルを取得し、当該ファイルの有無および差分を抽出する。
【選択図】図１

Description

本発明は、ファイル監視周期制御装置、ファイル監視周期制御システム、ファイル監視周期制御方法及びファイル監視周期制御プログラムに関する。

近年、インターネットの普及に伴い、個人情報の管理やアプリケーションの配信を実施するサーバに対するサイバー攻撃が急増している。サイバー攻撃の代表例としては、攻撃者が正規ユーザのサーバや端末に不正にアクセスするために用いる攻撃ツールプログラムであるマルウェアを利用したＤＤｏＳ（Distributed Denial of Services）攻撃やスパム送信、情報盗難などが挙げられる。これらの攻撃の多くは、既存のパーソナルコンピュータやサーバを乗っ取り、踏み台として利用し、他のパーソナルコンピュータやサーバを攻撃する形で実行される。

従来、これらの脅威に対処するために、ファイアウォール機能と転送データ監視機能をルータ等のパケット転送装置に実装することが行われている。かかる機能の実装により、パケット転送装置にサーバ監視機能を構築し、サーバの前段に配置する。そして、パケット転送装置を利用して、送受信されるデータの内容やパケットヘッダ内容に応じて通信を制御するアクセス制御を実現する。

上記アクセス制御技術においては、サーバ監視機能を開発するセキュリティベンダは、既知のソフトウェアの脆弱性やマルウェアを解析する。そして、セキュリティベンダは、攻撃者が攻撃のためにサーバ等に対して送信する可能性がある送信メッセージのパターンをシグネチャ化する。そして、セキュリティベンダは、シグネチャに合致する送信メッセージをフィルタするようサーバ監視機能を構築する。これによって、攻撃者の不正アクセスからサーバ等を防御することができる。

また、脆弱性があるソフトウェアを故意に搭載したおとりサーバをサーバ監視機能の配下に配置し、サーバ監視機能によっておとりサーバへのアクセスを監視することが提案されている。これによってサーバ監視機能は、たとえば攻撃者がアプリケーション提供サーバ等に不正アクセスする際に利用するマルウェア等のプログラムをおとりサーバがダウンロードする際の挙動を検出する。そして、サーバ監視機能は、おとりサーバがダウンロードを要求した要求先を、マルウェアダウンロード用のサイトとして特定する。かかるサーバ監視機能によってマルウェアダウンロード用のサイトであると特定されたサイト等のリストを、ブラックリストとする。そして、顧客サーバまたは顧客サーバとネットワークとの境界に配置されたファイアウォール機能やセキュリティアプライアンス等に、ブラックリストを入力しておく。これによって、顧客サーバのマルウェアへの感染を防止することができる。

八木毅、谷本直人、針生剛男、伊藤光恭、「Ｗｅｂサイト向けマルウェアダウンロードサイトの生存期間監視方式」、信学技報、vol. 110, no. 78, IA2010-14, pp. 75-80, 2010年6月

しかしながら、マルウェアダウンロード用のサイトは、攻撃に使用される期間が限られている。また、一般のＷｅｂサイトがマルウェアダウンロード用のサイトとして悪用されることが多いため、悪用されていたＷｅｂサイトの管理者がマルウェアを発見して駆除することもある。さらに、攻撃者がブラックリストによる攻撃防御を回避するために、マルウェアダウンロード用のサイトを頻繁に変えることも考えられる。このように、マルウェアの配置場所が変更され、マルウェアが配置されなくなったサイトがある場合、他のサービスを提供する観点からかかるサイトをブラックリストから外す必要がある。

しかし、攻撃者が積極的にマルウェアの配置場所を他のサイトに変更した場合、防御側は、新たなマルウェアダウンロード用のサイトを発見するまで、当該マルウェアを使用した攻撃を検知することができない。しかし、頻繁にファイルを再取得してマルウェアか否かを確認すると、防御側は攻撃自体の検知を行うことができず検知漏れを生じる。他方、防御側が、マルウェアが配置され続けているか否かを頻繁に確認しなければ、マルウェアの配置場所の変更を確認できず、マルウェアダウンロード用のサイトではなくなったサイトまでもブラックリストに載せてしまうことになる。その結果、防御側は、攻撃ではないアクセスも攻撃として誤検出してしまう。

開示の実施の形態は、上記に鑑みてなされたものであって、不正なファイルの監視周期を調整して不正なファイルの提供元に監視を検知される確率を低下させることを目的とする。

上述した課題を解決し、目的を達成するために、開示の実施形態に係るファイル監視周期制御装置は、不正なファイルの配置場所を特定する統一資源位置指定子を抽出し、当該統一資源位置指定子に配置されるファイルを監視する監視部と、所定の統一資源位置指定子を含む命令のサーバへの送信を検出し、送信回数をカウントする計数部と、所定の統一資源位置指定子により特定されるファイルの監視周期を、送信回数に応じて設定する設定部と、を備えることを特徴とする。

また、開示の実施形態に係るファイル監視周期制御システムは、不正なファイルの配置場所を特定する統一資源位置指定子を抽出し、当該統一資源位置指定子に配置されるファイルを監視する監視装置と、統一資源位置指定子に配置されるファイルの監視周期を制御するファイル監視周期制御装置と、を備える。ファイル監視周期制御装置は、統一資源位置指定子を含む命令のサーバへの送信を検出し、送信回数をカウントする計数部と、統一資源位置指定子により特定されるファイルの監視周期を、前記送信回数に応じて設定する設定部と、を備える。監視装置は、設定部が設定した監視周期に応じて統一資源位置指定子に配置されるファイルを取得し、当該ファイルの有無および差分を抽出することを特徴とする。

また、開示の実施形態に係るファイル監視周期制御方法は、不正なファイルの配置場所を特定する統一資源位置指定子を抽出し、当該統一資源位置指定子に配置されるファイルを監視する監視装置と、統一資源位置指定子に配置されるファイルの監視周期を制御するファイル監視周期制御装置と、を備えるファイル監視周期制御システムで実行される。そして、ファイル監視周期制御装置は、前記統一資源位置指定子を含む命令のサーバへの送信を検出し、送信回数をカウントする計数工程と、ファイル監視周期制御装置は、統一資源位置指定子により特定されるファイルの監視周期を、送信回数に応じて設定する設定工程と、監視装置は、設定工程において設定した監視周期に応じて統一資源位置指定子に配置されるファイルを取得し、当該ファイルの有無および差分を検出する検出工程と、を含んだことを特徴とする。

また、開示の実施形態に係るファイル監視周期制御プログラムは、不正なファイルの配置場所を特定する統一資源位置指定子を含む命令のサーバへの送信を検出し、送信回数をカウントする計数ステップと、統一資源位置指定子により特定されるファイルの監視周期を、送信回数に応じて設定する設定ステップと、設定ステップにおいて設定した監視周期に応じて統一資源位置指定子に配置されるファイルを取得し、当該ファイルの有無および差分を検出する検出ステップと、をコンピュータに実行させる。

開示するファイル監視周期制御装置、ファイル監視周期制御システム、ファイル監視周期制御方法及びファイル監視周期制御プログラムは、不正なファイルの監視周期を調整して不正なファイルの提供元に監視を検知される確率を低下させるという効果を奏する。

図１は、第１の実施形態に係るファイル監視周期制御システムの構成の一例を示す図である。 図２は、第１の実施形態に係るファイル監視周期制御装置が備える監視部の構成の一例を示す図である。 図３は、第１の実施形態に係るファイル監視周期制御装置が備える周期制御部の構成の一例を示す図である。 図４は、第１の実施形態に係るファイル監視周期制御装置が備える監視対象リストの構造の一例を示す図である。 図５は、第１の実施形態に係るファイル監視周期制御装置が備える監視周期データテーブルの構造の一例を示す図である。 図６は、第１の実施形態における監視周期と監視周期算出処理を説明するための図である。 図７は、第１の実施形態における監視周期制御処理により監視周期データテーブルに統一資源位置指定子が登録される処理の一例を説明するための図である。 図８は、第１の実施形態における監視周期制御処理により統一資源位置指定子のアクセス数が登録される処理の一例を説明するための図である。 図９は、第１の実施形態における監視周期制御処理により監視周期データテーブルが更新される処理の一例を説明するための図である。 図１０は、第１の実施形態における監視周期制御処理により監視周期が通知される処理の一例を説明するための図である。 図１１は、第１の実施形態における監視周期制御処理の流れの一例を示すフローチャートである。 図１２は、１実施形態のファイル監視周期制御システムが動作するネットワークモデルの構成の一例を示す図である。 図１３は、ファイル監視周期制御システムによる一連の処理を実行するプログラムであるファイル監視周期制御プログラムによる情報処理が、コンピュータを用いて具体的に実現されることを示す図である。

以下に、本発明に係るファイル監視周期制御装置、ファイル監視周期制御システム、ファイル監視周期制御方法及びファイル監視周期制御プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。

（第１の実施形態）
図１は、第１の実施形態に係るファイル監視周期制御システムの構成の一例を示す図である。図１を参照して、第１の実施形態に係るファイル監視周期制御システム１の構成の一例につき説明する。

図１中、二つのネットワークの境界上にファイル監視周期制御装置１０が配置される。ファイル監視周期制御装置１０の詳細については後述する。

ファイル監視周期制御装置１０は、端末装置２０Ａ〜２０Ｃおよびファイルサーバ３０Ａ〜３０Ｃと、ネットワーク４０を介して接続される。

端末装置２０Ａ〜２０Ｃは、攻撃者が使用する端末である。攻撃者は、端末装置２０Ａ〜２０Ｃを介して攻撃対象である装置に対して不正な命令を送信する。また、攻撃者は、端末装置２０Ａ〜２０Ｃを介して攻撃に使用するマルウェアを任意のファイルサーバに配置する。

ファイルサーバ３０Ａ〜３０Ｃは、攻撃者が攻撃に使用するマルウェア等を格納するサーバである。ファイルサーバ３０Ａ〜３０Ｃは、ftpプロトコルやhttpプロトコルに代表される転送プロトコルに対応しており、ホスト名としてhost#1が割り当てられているものとする。端末装置２０Ａ〜２０Ｃやサーバ５０（後述）、おとりサーバ６０（後述）がファイルサーバ３０Ａにアクセスするためには、統一資源位置指定子（ＵＲＬ：Uniform Resource Locator）として、たとえば、http://host#1/d-B/d-C/file-aを指定するものとする。

ネットワーク４０は、端末装置２０Ａ〜２０Ｃおよびファイルサーバ３０Ａ〜３０Ｃからのデータ通信を実現する。ネットワーク４０の種類は特に限定されず、たとえばインターネットや、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）等、端末装置２０Ａ〜２０Ｃやファイルサーバ３０Ａ〜３０Ｃを用いた不正な攻撃の媒介となりうるものであればよい。

ファイル監視周期制御装置１０はまた、サーバ５０およびおとりサーバ６０と、ネットワーク７０を介して接続される。

サーバ５０は、アプリケーションによりユーザにサービスを提供する機能を備える。たとえばサーバ５０は、Ｗｅｂサーバであり、Ｗｅｂアプリケーションによりユーザにブログや掲示板やソーシャルネットワークサービス等を提供する。

第１の実施形態では、攻撃者が使用する端末装置２０Ａ〜２０Ｃを介した攻撃を受ける被攻撃者の装置がサーバ５０であるとする。

攻撃者がサーバ５０をマルウェアに感染させる場合、まず攻撃者は、たとえば端末装置２０Ａからサーバ５０にたとえばファイルサーバ３０Ａに配置したマルウェアを取得させる命令を送信する。サーバ５０のソフトウェアに脆弱性がある場合、サーバ５０は、攻撃者からの命令を実行して、マルウェアを取得し実行する。これによってサーバ５０はマルウェアに感染する。

おとりサーバ６０は、サーバ５０を攻撃から保護するために配置される。図１の例ではおとりサーバ６０は、ハニーポットと呼ばれる装置であってよい。おとりサーバ６０は、脆弱なソフトウェアを搭載し、攻撃を収集して攻撃に記述された命令に従い、ファイルサーバ３０Ａ〜３０Ｃ等からファイルをダウンロードする。たとえば、おとりサーバ６０は、ファイルサーバ３０Ａからマルウェアをダウンロードする。おとりサーバ６０は意図的に脆弱なソフトウェアを搭載し、ダウンロードするソフトウェアはマルウェアであることが多い。

おとりサーバ６０を配置することで、マルウェアの配布に利用されたファイルサーバの統一資源位置指定子のリスト（以下、ブラックリストとも呼ぶ。）を生成し、そのファイルサーバに配置されていたファイルや、ファイルを取得した際の攻撃者からの命令等を取得することができる。

なお、図１の例では、説明の便宜上、攻撃者が攻撃に使用する端末装置およびファイルサーバはそれぞれ３台図示し、防御用のおとりサーバは１台図示する。しかし、実際のネットワーク環境においては、図示した例に限定されず、攻撃者、被攻撃者、ファイルサーバ、おとりサーバのいずれも複数存在するのが通常である。本実施形態のファイル監視周期制御システム１は図１に示す例に限定されず、複数の攻撃者やおとりサーバ等が存在するネットワーク環境に適用できる。

［ファイル監視周期制御装置１０の構成の一例］
さらに図１を参照し、ファイル監視周期制御装置１０の構成の一例につき説明する。ファイル監視周期制御装置１０は、制御部１００と記憶部２００とを備える。制御部１００は、ファイル監視周期制御装置１０の各部の処理や動作を制御する。記憶部２００は、ファイル監視周期制御装置１０における処理に使用する情報や処理の結果生成される情報等を記憶する。

制御部１００は、転送部１１０、検知部１２０、監視部１３０および周期制御部１４０を備える。

転送部１１０は、ネットワーク４０とネットワーク７０との間でのデータ転送機能を実現する。

第１の実施形態では、ファイル監視周期制御装置１０が転送部１１０を備え、転送部１１０がデータ転送機能を実現するものとして説明する。しかし、これに限らず、ファイル監視周期制御装置１０の他の機能からデータ転送機能を切り離して、別の装置によってデータ転送機能を実現してもよい。

たとえば、ホームネットワークとインターネットとの境界に配置されるホームゲートウェイ等を、ファイル監視周期制御装置１０と通信可能に接続し、ホームゲートウェイにデータ転送機能を実装してもよい。また、データ転送機能は、ホスティング環境やデータセンタおよび企業ネットワークとインターネットとの境界に配置されるゲートウェイやプロキシと呼ばれる中継装置によって実現してもよい。また、セキュリティアプライアンスやファイアウォール等の機能とともに、スイッチやルータ等にデータ転送機能を実装し、ファイル監視周期制御装置１０と通信可能に接続して配置してもよい。

検知部１２０は、転送部１１０またはサーバ５０と接続される。検知部１２０は、転送部１１０が受信したアクセスまたはサーバ５０が受信したアクセスから、ファイルサーバ３０Ａ〜３０Ｃに相当する統一資源位置指定子を抽出する。検知部１２０は、抽出した統一資源位置指定子を、監視部１３０に通知する。検知部１２０は、このようにして、ファイルサーバ検知機能を実現し、サーバ５０にアクセスするファイルサーバ３０Ａ〜３０Ｃを検知し当該ファイルサーバ３０Ａ〜３０Ｃに格納されるファイルを統一資源位置指定子によって特定する。

第１の実施形態では、ファイル監視周期制御装置１０が検知部１２０を備え、検知部１２０がファイルサーバ検知機能を実現する。しかし、これに限られず、ファイルサーバ検知機能をファイル監視周期制御装置１０の他の機能から切り離し、別の装置に実装してもよい。また、転送部１１０と検知部１２０とをファイル監視周期制御装置１０から切り離し、他の装置にモジュールとして実装してもよい。また、検知部１２０の機能をサーバ５０内に組み込んでもよい。また、サーバ５０のログからファイルサーバ３０Ａ〜３０Ｃ等の統一資源位置指定子を抽出するように構成してもよい。この場合、検知部１２０をサーバ５０に設けてもよい。

検知部１２０は、抽出した統一資源位置指定子をリストにする。検知部１２０はさらに、生成したリストと、ファイルサーバから取得したファイルと、受信した命令、すなわち攻撃者からの命令である可能性がある情報等と、を監視部１３０に送る。

ファイルサーバ検知機能が、他の装置やサーバ５０に組み込まれる場合には、監視部１３０は、当該装置やサーバ５０にアクセスして、リスト、ファイルおよび命令等を取得する。また、サーバ５０のログからファイルサーバの統一資源位置指定子を直接抽出する場合は、監視部１３０とサーバ５０とを接続し、サーバ５０のログから統一資源位置指定子を抽出すればよい。また、オペレータがサーバ５０のログから統一資源位置指定子を抽出して情報を手入力することもできる。この場合には、ファイルサーバ検知機能を実現する別の装置や検知部１２０を別に設ける必要はなく、ファイルサーバ検知機能と監視部１３０とを接続する必要もない。

監視部１３０は、検知部１２０と接続され、ファイル監視機能を実現する。図２を参照して、監視部１３０の構造の一例を説明する。図２は、第１の実施形態に係るファイル監視周期制御装置１０が備える監視部１３０の構成の一例を示す図である。

監視部１３０は、変更検出部１３１と、リスト更新部１３２と、周期設定部１３３と、解析部１３４とを備える。

変更検出部１３１は、検知部１２０からファイルサーバ３０Ａ〜３０Ｃ上のファイルの統一資源位置指定子のリスト等を取得する。そして、変更検出部１３１は、リストに登録された統一資源位置指定子のファイルの取得を試行し、ファイルの有無やファイルの変化を検出する。変更検出部１３１は、後述する周期設定部１３３が設定した監視周期ごとにファイルの取得および検出を実行する。

リスト更新部１３２は、変更検出部１３１が、ファイルがなくなったことまたはファイルの変化を検出した場合、当該ファイルに対応する統一資源位置指定子を監視対象から除外する。またリスト更新部１３２は、解析部１３４が新しい不正ファイルを検出し通知した場合に、当該ファイルの統一資源位置指定子を監視対象として登録する。具体的には、リスト更新部１３２は、後述する監視対象リスト２０１を更新する。

周期設定部１３３は、統一資源位置指定子のファイルを取得する周期（以下、「監視周期」とも呼ぶ。）を、監視対象リスト２０１に登録された統一資源位置指定子ごとに設定する。周期設定部１３３は、設定した監視周期を監視対象リスト２０１に登録する。周期設定部１３３は、後述する周期制御部１４０により監視周期を通知される前は、予めデフォルト値として定められた監視周期を設定する。周期制御部１４０により監視周期を通知された場合は、周期設定部１３３は、通知に応じた監視周期を設定し、監視対象リスト２０１に登録する。

解析部１３４は、検知部１２０が取得したファイルからマルウェアを検出して、当該マルウェアが配置された統一資源位置指定子を特定する。解析部１３４は、たとえば、ファイル監視周期制御装置１０に実装されるアンチウィルスソフトやマルウェア動的解析機能を使用して、取得したファイルがマルウェアか否かを判定する。マルウェアと判定した場合、解析部１３４は、リスト更新部１３２に通知し、当該ファイルに対応する統一資源位置指定子を監視対象リスト２０１に登録させる。また、解析部１３４は、変更検出部１３１がファイルの変更を検出した場合、変更後のファイルがマルウェアか否かを判定する。

次に、図３を参照して周期制御部１４０について説明する。図３は、第１の実施形態に係るファイル監視周期制御装置１０が備える周期制御部１４０の構成の一例を示す図である。

周期制御部１４０は、対象取得部１４１と、計数部１４２と、周期算出部１４３と、周期設定部１４４と、を備える。

対象取得部１４１は、監視部１３０から、現在監視対象としている統一資源位置指定子を収集する。また、対象取得部１４１は、監視部１３０から各統一資源位置指定子の監視周期を収集する。たとえば、対象取得部１４１は、監視部１３０により管理、更新される監視対象リスト２０１から統一資源位置指定子および監視周期を取得すればよい。また、対象取得部１４１は、収集した統一資源位置指定子と監視周期を、計数部１４２に通知する。対象取得部１４１は、定期的に監視部１３０または監視対象リスト２０１から統一資源位置指定子を収集するよう構成してもよい。また、対象取得部１４１は、監視部１３０が監視対象リスト２０１に対して統一資源位置指定子の登録や削除を行った場合に、監視部１３０から通知を受け通知に応じて監視対象リスト２０１にアクセスするように構成してもよい。

計数部１４２は、検知部１２０またはサーバ５０から各統一資源位置指定子が記述されたアクセスの数を収集する。また、計数部１４２は、収集した情報を周期算出部１４３に通知する。計数部１４２は、定期的にアクセス数を収集するよう構成してもよい。また、計数部１４２は、検知部１２０またはサーバ５０が、監視対象である統一資源位置指定子が記述されたアクセスを検出した場合に、検知部１２０またはサーバ５０から通知を受けるように構成してもよい。また、オペレータが検知部１２０またはサーバ５０のログからアクセス数を取得し、取得したアクセス数を計数部１４２に手入力するように構成してもよい。この場合、計数部１４２は、検知部１２０やサーバ５０と通信するように構成しなくてよい。収集したアクセス数は、監視周期データテーブル２０２（後述）に登録する。

周期算出部１４３は、計数部１４２からアクセス数の通知を受け、通知されたアクセス数に応じて監視周期を算出する。または周期算出部１４３は、監視周期データテーブル２０２からアクセス数を読み出し監視周期を算出するように構成してもよい。または、周期算出部１４３は、アクセス数が所定数に達したときに計数部１４２から通知を受けるように構成してもよい。周期算出部１４３は、算出した監視周期と当該監視周期を適用する統一資源位置指定子とを、周期設定部１４４に通知する。監視周期の算出処理の詳細については後述する。周期算出部１４３はまた、対象取得部１４１から新たに監視対象となった統一資源位置指定子の通知を受ける。

周期設定部１４４は、周期算出部１４３から通知された監視周期と統一資源位置指定子を、監視部１３０に通知し、新たな監視周期として監視対象リスト２０１に設定させる。

このように、第１の実施形態に係るファイル監視周期制御装置１０は、サーバ５０に対するアクセスのうち、所定の統一資源位置指定子が記述されたアクセスの数を検出し、当該アクセス数に応じて、当該統一資源位置指定子に配置されるファイルを監視する周期を設定する。

［記憶部２００に格納される情報の一例］
次に、図４および図５を参照して、記憶部２００に格納される情報について説明する。図４は、第１の実施形態に係るファイル監視周期制御装置１０が備える監視対象リスト２０１の構造の一例を示す図である。図５は、第１の実施形態に係るファイル監視周期制御装置１０が備える監視周期データテーブル２０２の構造の一例を示す図である。記憶部２００は、監視対象リスト２０１と監視周期データテーブル２０２とを記憶する。

図４に示すように、監視対象リスト２０１は、現在監視対象となっている統一資源位置指定子と、当該統一資源位置指定子に配置されるファイルの監視周期と、を記憶する。たとえば、図４に示す例では、「監視対象」として記憶される「http://host#1/d-A/d-B/d-C/file-a」に対応して、「監視周期」として「１０００」が記憶されている。また、「監視対象」として記憶される「http://host#5/d-V/d-D/d-H/file-c」に対応して、「監視周期」として「５００」が記憶されている。また、「監視対象」として記憶される「http://host#7/d-N/d-O/d-R/file-q」に対応して、「監視周期」として「１５００」が記憶されている。

監視対象リスト２０１は、監視部１３０の変更検出部１３１がファイルの変更等を検出した場合に、リスト更新部１３２によって更新される。また、検知部１２０が検知した統一資源位置指定子のうち、解析部１３４がマルウェアの配置位置ではないと判定した統一資源位置指定子は、監視対象リスト２０１には登録されない。

監視対象リスト２０１に登録される監視周期は、対応する統一資源位置指定子が初めて登録される際には、予め定められたデフォルトの値が設定されるものとする。周期制御部１４０による制御開始後は、周期制御部１４０（周期設定部１４４）が通知する監視周期に応じて、周期設定部１３３が監視周期を設定する。

次に図５に示すように、監視周期データテーブル２０２は、監視部１３０が監視対象としている統一資源位置指定子ごとに、現在の監視周期と、前の監視周期において計数部１４２が通知したアクセス数と、現在の監視周期中に検出されているアクセス数と、を記憶する。さらに、監視周期データテーブル２０２は、次の監視周期を記述する領域と、各統一資源位置指定子の前回の監視時からの経過時間を管理するタイマとから構成される。

タイマは、リボルバー形式等を採用して全エントリを一つのタイマで管理するように構成してもよい。この場合は、タイマ機能を周期制御部１４０に設ければよく、監視周期データテーブル２０２専用のタイマは設けなくてよい。

また、第１の実施形態では、監視周期の算出の際、直前の監視周期に検出されたアクセス数を使用する。しかし、これに限定されず、過去の全てのアクセス履歴や、過去のアクセス履歴の任意の一部を利用してもよい。この場合は、監視周期データテーブル２０２を、過去の全アクセス履歴（アクセス数）を記述できるように構成する。また、過去のアクセス数を各監視周期別に管理して、時系列的なデータとして使用してもよい。この場合は、監視周期データテーブル２０２を、過去の監視周期と当該周期中のアクセス数とを対応づけて記述できるように構成する。

［監視周期算出処理］
次に、図６を参照し、監視周期と監視周期算出処理についてさらに説明する。図６は、第１の実施形態における監視周期と監視周期算出処理を説明するための図である。

図６に示すように、時間軸に沿って現在までに、監視周期３０１および監視周期３０２が経過しており、現在は監視周期３０３中であるとする。現在の監視周期を算出する時点では、監視周期データテーブル２０２には、監視周期３０２中のアクセス数であるアクセス数３１２と、その直前の監視周期３０１中のアクセス数３１１とが記述されている。

周期算出部１４３は、監視周期３０２中のアクセス数３１２が直前の監視周期３０１中のアクセス数３１１よりも増加している場合、監視周期３０１と３０２との差分およびアクセス数３１１と３１２との差分に基づいて、監視周期３０３を算出する。たとえば、アクセス数が所定数以上増加している場合は、監視周期をあらかじめ定められた長さだけ長くする。周期算出部１４３は、算出を終えると、算出した監視周期を次の監視周期として監視周期データテーブル２０２に登録する。

所定の周期が終了し、監視周期データテーブル２０２を更新するときは、周期算出部１４３は、監視周期３０１中のアクセス数３１１および監視周期３０１の情報を監視周期データテーブル２０２から削除する。そして、周期算出部１４３は、監視周期３０２とアクセス数３１２とを、直前監視周期のデータとして監視周期データテーブル２０２に登録する。そして、周期算出部１４３は、新たに算出した監視周期３０３と当該周期中に検出されたアクセス数３１３とを現在の監視周期のデータとして監視周期データテーブル２０２に登録する。

ここでは、監視周期の算出において直前の周期中のアクセス数を利用する。しかし、これに限らず、上述したように過去の全アクセス数等、他のアクセス数を利用する場合は、それに応じて算出手法を変更する。また、時系列のアクセス数の移動平均を算出し、その増減に応じて監視周期を増減させる等の手法を採用してもよい。

［監視周期データテーブル２０２への統一資源位置指定子の登録］
次に、図７を参照し、監視周期データテーブル２０２へ統一資源位置指定子が登録される際の処理について説明する。図７は、第１の実施形態における監視周期制御処理により監視周期データテーブル２０２に統一資源位置指定子が登録される処理の一例を説明するための図である。

図７の例では、周期制御部１４０の対象取得部１４１は、監視部１３０から監視対象となる統一資源位置指定子の通知を受ける（図７の（１））。対象取得部１４１は、通知された統一資源位置指定子の情報を、周期算出部１４３に送る（図７の（２））。周期算出部１４３は、通知された統一資源位置指定子と対応する監視周期とを監視周期データテーブル２０２に登録する（図７の（３））。監視部１３０は、新たに監視対象となった統一資源位置指定子がある場合に、逐次対象取得部１４１に通知してもよいし、定期的に新しい監視対象の情報を通知してもよい。

また、対象取得部１４１は、監視部１３０から統一資源位置指定子の通知を受けるのではなく、検知部１２０またはサーバ５０から新たに検出された統一資源位置指定子の通知を受けるように構成してもよい。この場合、マルウェアに対応する統一資源位置指定子の検出は、監視部１３０の解析部１３４以外の機能部で行うように構成してもよい。

［監視周期データテーブル２０２へのアクセス数の登録］
次に、図８を参照し、監視周期データテーブル２０２へアクセス数が登録される際の処理について説明する。図８は、第１の実施形態における監視周期制御処理により統一資源位置指定子のアクセス数が登録される処理の一例を説明するための図である。

計数部１４２は、検知部１２０またはサーバ５０から統一資源位置指定子のアクセス数を通知される（図８の（１））と、監視周期データテーブル２０２の該当するエントリに通知されたアクセス数を加算する（図８の（２））。すなわち、計数部１４２は、監視周期データテーブル２０２の、当該統一資源位置指定子に対応する現在の監視周期のアクセス数として登録されているアクセス数に通知されたアクセス数を加算する。

なお、検知部１２０またはサーバ５０は、該当するアクセスが検出されるごとに当該アクセスを通知してもよいし、所定期間アクセス検出を行った後に検出された複数のアクセスを通知してもよい。

監視周期の計算は基本的に監視周期ごとに１回行うものとする。しかし、新しくアクセス数が加算された時点で、次の監視周期の算出を行うことができる場合は、通知を受けた後に監視周期の再計算を行って、算出した周期を次の監視周期として設定してもよい。たとえば、新しくアクセス数が加算されたことで、直前期間との差分を算出し、アクセス数が増加していればその時点で次の監視周期を算出するように構成してもよい。また、算出した差分が所定の値を超えている場合のみ、その時点で次の監視周期を算出するように構成してもよい。また、アクセス数の増加数または減少数が、所定数を超えている場合には、その時点で次の監視周期を算出するように構成してもよい。なお、アクセス数の差分が増加しているか否かを判定する際には、単位時間当たりのアクセス数を比較して判定すればよい。たとえば、１秒あたりのアクセス数が増加しているか否かを判定すればよい。

［監視周期データテーブル２０２の更新］
次に、図９を参照し、監視周期データテーブル２０２が更新される際の処理について説明する。図９は、第１の実施形態における監視周期制御処理により監視周期データテーブル２０２が更新される処理の一例を説明するための図である。

ある時点で、監視周期データテーブル２０２に登録されている統一資源位置指定子のうち、対応するタイマの値が１から０になった統一資源位置指定子のエントリがあるとする。周期算出部１４３はタイマが０になると、周期設定部１４４に当該統一資源位置指定子と次の監視周期とを通知する（図９の（１））。また、周期算出部１４３は、監視周期データテーブル２０２において、次の監視周期のエントリに記述されている周期を現在の監視周期のエントリに移動させ、現在の監視周期のアクセス数を０にクリアする（図９の（２））。そして新たに次の監視周期を記述する。このとき、新たに記述する次の監視周期は、現在の監視周期のアクセス数が０であると仮定した場合に算出される次の監視周期とする。

［次の監視周期の通知］
次に、図１０を参照し、監視周期を監視部１３０に通知する処理について説明する。図１０は、第１の実施形態における監視周期制御処理により監視周期が通知される処理の一例を説明するための図である。

監視周期の通知は、周期設定部１４４が実行する。周期設定部１４４は具体的には、統一資源位置指定子と当該統一資源位置指定子に適用される監視周期とを、監視部１３０に通知する（図１０の（１））。監視部１３０では、通知を受けると、周期設定部１３３が監視対象リスト２０１に登録された監視周期を適宜更新する。

［監視周期制御処理の流れ］
次に、図１１を参照し、周期制御部１４０により実現される監視周期制御処理の流れの一例について説明する。図１１は、第１の実施形態における監視周期制御処理の流れの一例を示すフローチャートである。

まず、対象取得部１４１は、監視部１３０から現在監視対象としている統一資源位置指定子と、当該統一資源位置指定子に対応する監視周期とを取得する（ステップＳ１１０１）。対象取得部１４１が取得した情報は、監視周期データテーブル２０２に登録される。そして、監視周期の開始とともに、各統一資源位置指定子に対応づけてタイマによるカウントが開始する（ステップＳ１１０２）。計数部１４２は、検知部１２０またはサーバ５０において検出される、各統一資源位置指定子が記述されたアクセス数を収集する（ステップＳ１１０３）。収集したアクセス数は、監視周期データテーブル２０２に登録される。

現在の監視周期のアクセス数と直前の監視周期のアクセス数との差分が予め定められた条件を満たす場合、周期算出部１４３は、アクセス数に基づいて次の監視周期を算出する（ステップＳ１１０４）。次の監視周期は監視周期データテーブル２０２に登録される（ステップＳ１１０５）。そして、次の周期が開始すると、すなわち、タイマが０になると（ステップＳ１１０６、肯定）、監視周期データテーブルの更新処理を実行して監視部１３０に周期が通知され、ステップＳ１１０２に戻り次の監視周期のカウントを開始する。次の周期が開始していない場合（ステップＳ１１０６、否定）、ステップＳ１１０３に戻って処理を繰り返す。

監視周期データテーブル２０２に登録された統一資源位置指定子各々について図１１の処理を繰り返すことで、アクセス数に応じた監視周期が設定される。第１の実施形態では、所定の統一資源位置指定子が記述されたアクセスの数が増加すると、監視周期を長く設定する。アクセス数が多いときは、当該統一資源位置指定子を用いた攻撃が活発に行われていると考えられ、頻繁に監視を行う必要がないからである。また攻撃が活発に行われているときは、監視ではなく攻撃自体の検出を重視して実行するためである。

ただし、監視周期の設定においては、攻撃者の状態変化や攻撃の種類に応じて、異なる設定手法を採用してよい。たとえば、アクセスの数が増加している場合に、監視対象の状態が変化している可能性があることを考慮して、監視周期を短く設定してもよい。また、アクセス数が減少している場合は攻撃が減少していると判断して、監視周期を長く設定してもよい。

［第１の実施形態に係るファイル監視周期制御システムの効果］
上述の通り、第１の実施形態に係るファイル監視周期制御システムにおいて、ファイル監視周期制御装置は、不正なファイルの配置場所を特定する統一資源位置指定子を抽出し、当該統一資源位置指定子に配置されるファイルを監視する監視部と、所定の統一資源位置指定子を含む命令のサーバへの送信を検出し、送信回数をカウントする計数部と、所定の統一資源位置指定子により特定されるファイルの監視周期を、送信回数に応じて設定する設定部と、を備える。このため、不正なファイルの監視周期を調整して不正なファイルの提供元に監視を検知される確率を低下させることができる。また、アクセス者の行動に応じて監視周期を制御することができる。

（第２の実施形態）
次に、第２の実施形態として、おとりサーバ６０へのアクセス数に基づいて監視周期を調整する例を説明する。第２の実施形態に係るファイル監視周期制御システムの構成は第１の実施形態に係るファイル監視周期制御システムと同様であるため、図示は省略し、共通する構成要素は共通する参照符号で表す。

第１の実施形態においては、サーバ５０または検知部１２０が検知したアクセス数に応じて監視周期を設定した。これに対して、第２の実施形態に係るファイル監視周期制御システムは、おとりサーバ６０が受信したアクセス数に応じて監視周期を設定する。具体的には、おとりサーバ６０が単位時間あたりに受信した、所定の統一資源位置指定子が記述された攻撃数に応じて監視周期を設定する。

第２の実施形態において、転送部１１０、検知部１２０、監視部１３０の機能を搭載した監視装置と、周期制御部１４０の機能を搭載したファイル監視周期制御装置とを別々に設けてもよい。

なお、所定の統一資源位置指定子が記述された攻撃を検出する位置はおとりサーバ６０の位置に限定されず、ネットワーク上の任意の位置に検出部を設ければよい。

［第２の実施形態の効果］
上述のように、第２の実施形態に係るファイル監視周期制御システムは、サーバに対する不正な命令を検出するおとりサーバをさらに備える。そして、計数部は、不正な命令によりおとりサーバが取得を指示されたファイルが配置される統一資源位置指定子が記述された攻撃の、単位時間あたりの数をカウントする。設定部は、計数部がカウントした単位時間あたりの攻撃数に応じて、取得を指示されたファイルの監視周期を設定する。そして、監視装置（転送部１１０、検知部１２０、監視部１３０に相当）は、設定部が設定した監視周期に応じて統一資源位置指定子に配置されるファイルを取得し、当該ファイルの有無および差分を抽出する。このため、不正なファイルの監視周期を調整して不正なファイルの提供元に監視を検知される確率を低下させることができる。

また、おとりサーバ６０を利用して周期を決定できるので、ファイル監視周期制御装置１０からサーバ５０へのアクセス数やファイル監視周期制御装置１０へのデータ転送への影響を低減することができ、より綿密な攻撃検出が可能となる。また、攻撃者に確認を検知されたマルウェアが別のサイトに再配置される事態を回避することができる。その結果、新たなサイトに配置されたマルウェアを用いた攻撃を検知できない事態が回避でき、ブラックリストを用いた防御における検知漏れを抑制できる。

（第３の実施形態）
これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、その他の実施形態にて実施されてもよい。以下に、その他の実施形態を説明する。

［システム構成］
本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。例えば、統一資源位置指定子の抽出や監視周期のデフォルト値の設定等は、オペレータが手動で行ってもよい。この他、上述文書中や図面中に示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示したファイル監視周期制御システムおよびファイル監視周期制御装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。例えば、図１に示す例では、転送部１１０、検知部１２０、監視部１３０、周期制御部１４０を一つの装置の制御部１００の構成要素として記載した。しかし、転送部１１０、検知部１２０、監視部１３０、周期制御部１４０をそれぞれ独立した装置として実装してもよい。また、その場合には、記憶部２００に格納される情報のうち、転送部１１０、検知部１２０、監視部１３０、周期制御部１４０での処理に供する情報を別々の装置に格納してもよい。

図１２は、１実施形態のファイル監視周期制御システムが動作するネットワークモデルの構成の一例を示す図である。たとえば、図１２に示すように、攻撃者の端末２、攻撃に利用されるファイルサーバ３が配置されるネットワークＸと、被攻撃者のサーバ４が配置されるネットワークＹとの境界上に複数の機能を別装置として配置してもよい。図１２の例では、ファイル監視周期制御機能５と、ファイル監視機能６と、ファイルサーバ検知機能７と、データ転送機能８と、がそれぞれ別の装置として実現される。図１２のファイル監視周期制御機能５、ファイル監視機能６、ファイルサーバ検知機能７およびデータ転送機能８はそれぞれ、図１の周期制御部１４０、監視部１３０、検知部１２０、転送部１１０に対応する。

［プログラム］
図１３は、ファイル監視周期制御システムによる一連の処理を実行するプログラムであるファイル監視周期制御プログラムによる情報処理が、コンピュータを用いて具体的に実現されることを示す図である。図１３に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central Processing Unit）１０２０と、ハードディスクドライブ１０８０と、ネットワークインタフェース１０７０とを有する。コンピュータ１０００の各部はバス１１００によって接続される。

メモリ１０１０は、図１３に例示するように、ＲＯＭ１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。

ここで、図１３に例示するように、ハードディスクドライブ１０８０は、例えば、ＯＳ１０８１、アプリケーションプログラム１０８２、プログラムモジュール１０８３、プログラムデータ１０８４を記憶する。すなわち、開示の実施の形態に係るファイル監視周期制御プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０８３として、例えばハードディスクドライブ１０８０に記憶される。例えば、制御部１００の各部と同様の情報処理を実行する手順各々が記述されたプログラムモジュール１０８３が、ハードディスクドライブ１０８０に記憶される。

また、記憶部２００に記憶されるデータのように、ファイル監視周期制御プログラムによる情報処理に用いられるデータは、プログラムデータ１０８４として、例えばハードディスクドライブ１０８０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０８０に記憶されたプログラムモジュール１０８３やプログラムデータ１０８４を必要に応じてＲＡＭ１０１２に読み出し、各種の手順を実行する。

なお、ファイル監視周期制御プログラムに係るプログラムモジュール１０８３やプログラムデータ１０８４は、ハードディスクドライブ１０８０に記憶される場合に限られない。例えば、プログラムモジュール１０８３やプログラムデータ１０８４は、着脱可能な記憶媒体に記憶されてもよい。この場合、ＣＰＵ１０２０は、ディスクドライブなどの着脱可能な記憶媒体を介してデータを読み出す。また、同様に、ファイル監視周期制御プログラムに係るプログラムモジュール１０８３やプログラムデータ１０８４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。この場合、ＣＰＵ１０２０は、ネットワークインタフェース１０７０を介して他のコンピュータにアクセスすることで各種データを読み出す。

［その他］
なお、本実施形態で説明したファイル監視周期制御プログラムは、インターネット等のネットワークを介して配布することができる。また、ファイル監視周期制御プログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読取可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

１ ファイル監視周期制御システム
１０ ファイル監視周期制御装置
２０Ａ〜２０Ｃ 端末装置
３０Ａ〜３０Ｃ ファイルサーバ
４０、７０ ネットワーク
５０ サーバ
６０ おとりサーバ
１００ 制御部
１１０ 転送部
１２０ 検知部
１３０ 監視部
１３１ 変更検出部
１３２ リスト更新部
１３３ 周期設定部
１３４ 解析部
１４０ 周期制御部
１４１ 対象取得部
１４２ 計数部
１４３ 周期算出部
１４４ 周期設定部
２００ 記憶部
２０１ 監視対象リスト（ブラックリスト）
２０２ 監視周期データテーブル
１０００ コンピュータ
１０１０ メモリ
１０１１ ＲＯＭ
１０１２ ＲＡＭ
１０２０ ＣＰＵ
１０７０ ネットワークインタフェース
１０８０ ハードディスクドライブ
１０８１ ＯＳ
１０８２ アプリケーションプログラム
１０８３ プログラムモジュール
１０８４ プログラムデータ
１１００ バス

Claims (8)

1. 不正なファイルの配置場所を特定する統一資源位置指定子を抽出し、当該統一資源位置指定子に配置されるファイルを監視する監視部と、
   所定の統一資源位置指定子を含む命令のサーバへの送信を検出し、送信回数をカウントする計数部と、
   前記所定の統一資源位置指定子により特定されるファイルの監視周期を、前記送信回数に応じて設定する設定部と、
   を備えるファイル監視周期制御装置。
2. 前記設定部は、前記送信回数の増加に応じて、前記ファイルの監視周期を長く設定することを特徴とする請求項１に記載のファイル監視周期制御装置。
3. 不正なファイルの配置場所を特定する統一資源位置指定子を抽出し、当該統一資源位置指定子に配置されるファイルを監視する監視装置と、
   前記統一資源位置指定子に配置されるファイルの監視周期を制御するファイル監視周期制御装置と、
   を備えるファイル監視周期制御システムであって、
   前記ファイル監視周期制御装置は、
   前記統一資源位置指定子を含む命令のサーバへの送信を検出し、送信回数をカウントする計数部と、
   前記統一資源位置指定子により特定されるファイルの監視周期を、前記送信回数に応じて設定する設定部と、
   を備え、
   前記監視装置は、
   前記設定部が設定した監視周期に応じて前記統一資源位置指定子に配置されるファイルを取得し、当該ファイルの有無および差分を抽出することを特徴とするファイル監視周期制御システム。
4. 前記設定部は、前記送信回数の増加に応じて、前記ファイルの監視周期を長く設定することを特徴とする請求項３に記載のファイル監視周期制御システム。
5. 前記サーバに対する不正な命令を検出するおとりサーバをさらに備え、
   前記計数部は、前記不正な命令により前記おとりサーバが取得を指示されたファイルが配置される統一資源位置指定子が記述された攻撃の、単位時間あたりの数をカウントし、
   前記設定部は、前記計数部がカウントした単位時間あたりの攻撃数に応じて、取得を指示されたファイルの監視周期を設定し、
   前記監視装置は、前記設定部が設定した監視周期に応じて前記統一資源位置指定子に配置されるファイルを取得し、当該ファイルの有無および差分を抽出することを特徴とする請求項３に記載のファイル監視周期制御システム。
6. 不正なファイルの配置場所を特定する統一資源位置指定子を抽出し、当該統一資源位置指定子に配置されるファイルを監視する監視装置と、
   前記統一資源位置指定子に配置されるファイルの監視周期を制御するファイル監視周期制御装置と、
   を備えるファイル監視周期制御システムで実行されるファイル監視周期制御方法であって、
   前記ファイル監視周期制御装置は、前記統一資源位置指定子を含む命令のサーバへの送信を検出し、送信回数をカウントする計数工程と、
   前記ファイル監視周期制御装置は、前記統一資源位置指定子により特定されるファイルの監視周期を、前記送信回数に応じて設定する設定工程と、
   前記監視装置は、前記設定工程において設定した監視周期に応じて前記統一資源位置指定子に配置されるファイルを取得し、当該ファイルの有無および差分を検出する検出工程と、
   を含んだことを特徴とするファイル監視周期制御方法。
7. 不正なファイルの配置場所を特定する統一資源位置指定子を含む命令のサーバへの送信を検出し、送信回数をカウントする計数ステップと、
   前記統一資源位置指定子により特定されるファイルの監視周期を、前記送信回数に応じて設定する設定ステップと、
   前記設定ステップにおいて設定した監視周期に応じて前記統一資源位置指定子に配置されるファイルを取得し、当該ファイルの有無および差分を検出する検出ステップと、
   をコンピュータに実行させるためのファイル監視周期制御プログラム。
8. コンピュータを請求項１または２に記載のファイル監視周期制御装置として機能させるためのファイル監視周期制御プログラム。

Images